Atualizado em 29 de outubro de 2026

Esta Política de Privacidade explica, em linguagem direta, quais dados pessoais o Dinzo coleta, para que os usa, com quem os compartilha, por quanto tempo os guarda e quais são os seus direitos, conforme a Lei Geral de Proteção de Dados (Lei nº 13.709/2018, "LGPD").

O Dinzo é um aplicativo de finanças pessoais (iOS, Android e web) acompanhado do Dino, nosso assistente de inteligência artificial, disponível no WhatsApp, no aplicativo e na web. Esta Política vale para todos esses canais e para o nosso site.

1. Controladora e Encarregada de dados

Quem decide como os seus dados pessoais são tratados (a "Controladora") é a Codari Solucoes de Tecnologia LTDA, CNPJ 60.595.581/0001-83, com sede na Rua Doutor Arlindo Luz, 540, Sala 01, Centro, CEP 19900-011, Ourinhos/SP. Nesta Política, chamamos a Codari simplesmente de "Dinzo".

Nossos canais:

• Suporte: [email protected] e WhatsApp +55 11 93619-3623, de segunda a sexta, das 08h às 18h, com resposta em até 5 dias úteis;
• Assuntos legais, LGPD e Encarregado de dados (DPO): [email protected].

A Encarregada pelo tratamento de dados pessoais é a própria Codari Solucoes de Tecnologia LTDA, pessoa jurídica, conforme permite a Resolução CD/ANPD nº 18/2024. O canal do Encarregado é o e-mail [email protected]. A autoridade que fiscaliza a proteção de dados no Brasil é a Autoridade Nacional de Proteção de Dados (ANPD).

2. Quais dados tratamos

A coleta não acontece só no cadastro: ela é contínua, durante o uso do aplicativo, nas conexões bancárias que você autorizar e nas mensagens que você enviar ao assistente. Tratamos quatro grupos de dados:

a) Dados que você nos fornece

• Cadastro: nome, e-mail e senha. Se você entrar com Google, Apple ou Facebook, recebemos desse provedor apenas o nome, o e-mail e, quando houver, a foto de perfil, usados para criar e identificar a sua conta. No Facebook, pedimos só as permissões public_profile e email;
• Opcionais: telefone/WhatsApp, CPF ou CNPJ, dados financeiros que você lançar manualmente (contas, cartões, transações, metas, orçamentos) e respostas a pesquisas.

b) Dados coletados via Open Finance

Quando você conecta uma instituição financeira, coletamos dados de contas, cartões, transações, faturas, investimentos e saldos, além do nome e do CPF ou CNPJ do titular informados pelo banco, por meio da Pluggy, operadora regulada que atua no ecossistema do Open Finance, com histórico de até 12 meses. A conexão depende do seu consentimento, dado dentro do ambiente do próprio banco, e pode ser revogada a qualquer momento. A senha do seu banco nunca passa pelo Dinzo, e o acesso é somente leitura: o Dinzo jamais movimenta o seu dinheiro. Usamos esses dados para organizar as suas finanças e, só nos casos e limites da seção 3, para comprovar uma compra quando um pagamento ao Dinzo é contestado.

c) Conversas com o assistente Dino

Os textos, áudios, imagens e arquivos de extrato (PDF, CSV, OFX, Excel) que você enviar ao Dino pelo WhatsApp, pelo aplicativo ou pela web. Essas conversas ficam guardadas como histórico na sua conta.

d) Dados de uso e dispositivo

Endereço IP, registros de acesso (logs), telas acessadas, modelo do aparelho, sistema operacional e o identificador de notificações push do aparelho ou navegador, além dos cookies e ferramentas de medição descritos na seção 7.

O que não coletamos: senhas bancárias; publicações, lista de amigos ou qualquer outro dado de redes sociais além do nome, do e-mail e da foto de perfil citados acima; lista de aplicativos instalados; geolocalização contínua; e dados de birôs de crédito.

3. Para que usamos os seus dados e com que base legal

A LGPD exige que todo tratamento de dados tenha uma base legal (art. 7º). Estas são as nossas:

Não tratamos o simples uso do aplicativo como consentimento. O consentimento só é base legal onde indicado acima. Para cancelar as comunicações de marketing, use o link de descadastro presente nos próprios e-mails ou fale com o suporte.

Verificação anti-robô

Nos pagamentos com cartão, no envio de códigos pelo WhatsApp e no envio do e-mail de confirmação, no site e no app, usamos o Cloudflare Turnstile para impedir que robôs testem cartões ou disparem códigos e e-mails em massa, e para prevenir fraudes, com base no legítimo interesse (inciso IX). Sem pedir nenhuma ação sua, ele analisa sinais do navegador e do aparelho e o endereço IP para confirmar que há uma pessoa por trás do pedido. Esse tratamento está sujeito também à política de privacidade do Turnstile.

Contestações de pagamento (chargeback e MED)

Quando um pagamento ao Dinzo é contestado, seja no banco emissor do cartão (chargeback), seja na instituição de onde saiu o PIX, inclusive o PIX Automático (pedido de devolução pelo Mecanismo Especial de Devolução, o MED), seja na própria Woovi (disputa aberta pelo pagador no site da Woovi), podemos apresentar provas de que a compra foi feita e de que o serviço foi entregue. Escolhemos, caso a caso, só o necessário entre:

• Dados da compra: nome, e-mail, telefone, CPF ou CNPJ, plano, valores, datas, identificadores da assinatura, das cobranças e da nota fiscal, bandeira e primeiros e últimos dígitos do cartão (nunca o número completo) e, no PIX, quem pagou e a autorização do PIX Automático;
• Dados de acesso e de uso: aceite dos Termos de Uso; endereço IP, navegador e tipo de aparelho no cadastro, nos logins e no pagamento; datas e quantidade de acessos, de telas usadas e de mensagens enviadas ao Dino; avisos que enviamos sobre a assinatura; conexões bancárias feitas no Dinzo (instituição, data e situação); e pedidos de cancelamento ou de reembolso;
• Dados de Open Finance, só o estritamente necessário para mostrar quem você é, que o cartão ou a conta do pagamento são seus e que a cobrança contestada existe: o nome e o CPF do titular informados pelo banco, o final e a bandeira do cartão e o lançamento da cobrança contestada. Esses dados só entram na defesa quando vêm de uma conexão ativa que você mesmo fez no Dinzo e na qual o banco informou como titular o CPF de quem pagou.

Nunca enviamos o conteúdo das suas conversas com o Dino nem os seus saldos, investimentos ou outras transações.

Essas provas vão para quem analisa a contestação: no cartão, a Pagar.me (Stone Instituição de Pagamento S.A.), que as encaminha à bandeira e ao banco emissor do cartão; no PIX, a Woovi (Woovi Instituição de Pagamento LTDA) e a instituição de quem pagou, que registram o pedido e a análise no sistema do Banco Central do Brasil por onde tramitam os pedidos de devolução (DICT). Se a disputa chegar a um órgão de defesa do consumidor ou à Justiça, podemos apresentar os mesmos registros nesse processo. Essas instituições tratam os dados conforme as próprias regras.

Você pode pedir detalhes sobre esse uso, ou se opor a ele, pelo canal do Encarregado ([email protected]); analisaremos o pedido nos termos do art. 18, § 2º, da LGPD.

4. Inteligência artificial (Dino)

O Dinzo usa modelos de inteligência artificial de terceiros exclusivamente para prestar o serviço: entender o que você envia ao Dino e responder às suas perguntas, organizar os seus lançamentos (categorizar transações, sugerir um lançamento a partir de uma notificação do banco no Android e identificar estabelecimentos e lançamentos duplicados) e escrever os e-mails de Insights do Dino. Conforme os termos dos serviços que contratamos, os provedores não utilizam as suas informações para treinar os modelos deles.

O modelo principal é o Claude, da Anthropic. O Gemini, do Google, transcreve os áudios, lê os extratos que você importa e os arquivos que o Claude não lê, faz as buscas na web e comenta a sua maior compra quando você conecta o primeiro banco, e pode assumir qualquer tarefa do Claude, por exemplo quando ele está indisponível. A TypeSafe AI compara a descrição de um lançamento manual com a de um lançamento do banco, para evitar duplicidade.

A categorização automática é uma decisão automatizada. Você pode corrigir qualquer categoria manualmente no aplicativo e pode solicitar a revisão de decisões automatizadas que afetem os seus interesses (art. 20 da LGPD) pelo canal do Encarregado ([email protected]). Explicaremos os critérios gerais utilizados, respeitado o segredo de negócio.

O canal WhatsApp é operado pela Meta e está sujeito também ao aviso de privacidade dela. Você pode desvincular o seu número do Dinzo a qualquer momento.

5. Com quem compartilhamos

Compartilhamos dados com os operadores que contratamos para fazer o serviço funcionar, cada um para a sua finalidade, e com a IA de outra empresa que você mesmo conectar à sua conta (seção 12):

Também podemos compartilhar dados com autoridades públicas quando houver obrigação legal ou ordem de autoridade competente, e em operações societárias (como fusão ou aquisição), caso em que você será avisado.

Quando um pagamento ao Dinzo é contestado, as provas descritas na seção 3 vão para quem analisa a contestação: a Pagar.me (Stone), a bandeira e o banco emissor do cartão ou, no PIX, a Woovi e a instituição de quem pagou, que registram a análise no sistema do Banco Central (DICT). A bandeira, o banco emissor do cartão e a instituição de quem pagou não são operadoras do Dinzo e tratam os dados conforme as próprias regras.

Não vendemos os seus dados. O Dinzo não exibe anúncios e não compartilha os seus dados com terceiros para marketing de produtos alheios.

Os operadores listados tratam dados em nosso nome e sob os nossos contratos: o Dinzo permanece responsável por esse tratamento, nos termos do art. 42 da LGPD. Já os sites e serviços independentes que você decidir visitar a partir de links no Dinzo têm políticas próprias, pelas quais não respondemos.

6. Transferência internacional

Alguns dos operadores acima, como os provedores de IA, mantêm servidores nos Estados Unidos e em outros países, então há transferência internacional dos seus dados. Essas transferências têm fundamento no art. 33 da LGPD e, em regra, são amparadas por salvaguardas contratuais, como as cláusulas-padrão aprovadas pela ANPD (Resolução CD/ANPD nº 19/2024), que o Google adota para o Gemini. A Anthropic, que fornece o Claude, guarda os dados nos Estados Unidos e pode processá-los em outros países, e a TypeSafe AI os processa nos Estados Unidos; essas transferências se apoiam no art. 33, IX, da LGPD, por serem necessárias para executar o contrato que você tem conosco.

7. Cookies e medição

No site e na versão web usamos cookies e ferramentas de medição em três categorias:

• Essenciais: necessários para login e funcionamento — não podem ser desativados;
• Métricas: Google Analytics 4, Microsoft Clarity (grava sessões de navegação de forma pseudonimizada) e Umami, para entender como o produto é usado;
• Marketing: pixels do Google Ads e da Meta Ads, para medir o resultado de campanhas.

Para recusar, você pode bloquear ou apagar cookies nas configurações do seu navegador e usar os mecanismos de desativação dos próprios provedores (por exemplo, o complemento de desativação do Google Analytics).

8. Por quanto tempo guardamos

• Exclusão de conta: você pode solicitar a exclusão da sua conta diretamente no aplicativo ou na web. A conta é agendada para exclusão e fica pausada por 30 dias, sem acesso, sem comunicações e com as sincronizações de Open Finance interrompidas. Entrar na conta de novo antes dessa data cancela o pedido e restabelece a conta; passados os 30 dias, a conta e os dados são apagados em definitivo, ressalvadas as hipóteses de guarda obrigatória abaixo;
• Backups: as cópias de segurança são eliminadas no ciclo seguinte de backups;
• Anexos do Dino: comprovantes e fotos enviados ao assistente são apagados na exclusão da conta;
• Pagamentos: registros de pagamento e documentos fiscais são retidos pelo prazo legal, de até 5 anos;
• Registros de acesso: guardados por 6 meses, como exige o art. 15 do Marco Civil da Internet (Lei nº 12.965/2014);
• Registro mínimo da contratação: após a exclusão, mantemos nome, e-mail, telefone, CPF, identificadores da assinatura e das cobranças, plano, valores, bandeira e final do cartão, IP e navegador do cadastro e do checkout, aceite dos Termos e as quantidades e datas de uso (acessos, telas, mensagens ao Dino, conexões bancárias e reembolsos) por 540 dias contados da última cobrança, para responder a pedidos de reembolso, a contestações de cobrança no cartão (chargeback) e a pedidos de devolução de PIX (MED) e para o exercício regular de direitos (art. 7º, V, VI e IX, da LGPD);
• Contestações de pagamento: os registros de cada chargeback e pedido de devolução, inclusive a cópia da defesa enviada, são guardados por 540 dias contados do fim da contestação;
• Conta inativa ou gratuita: os dados são mantidos enquanto a conta existir — a exclusão só acontece quando você a solicitar.

9. Seus direitos

O art. 18 da LGPD garante a você:

• confirmação de que tratamos os seus dados;
• acesso aos dados que temos sobre você;
• correção de dados incompletos, inexatos ou desatualizados;
• anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
• portabilidade dos dados a outro fornecedor, observada a regulamentação da ANPD;
• eliminação dos dados tratados com o seu consentimento;
• informação sobre com quem compartilhamos os seus dados;
• informação sobre a possibilidade de não consentir e sobre as consequências da negativa;
• revogação do consentimento a qualquer momento.

Você também pode solicitar a revisão de decisões automatizadas que afetem os seus interesses (art. 20 da LGPD), como descrito na seção 4.

Como exercer: boa parte é autoatendimento — no aplicativo você pode exportar os seus dados em CSV/Excel e excluir a conta. Para os demais pedidos, escreva para [email protected]; respondemos em até 5 dias úteis. Você também pode, a qualquer momento, apresentar reclamação ou petição diretamente à ANPD.

Se você usa o login com Facebook, também pode remover o acesso do Dinzo no próprio Facebook, em Configurações e privacidade → Configurações → Apps e sites. Para apagar a sua conta e os seus dados no Dinzo, siga o passo a passo em dinzo.com.br/apagar-conta.

10. Menores de idade

O Dinzo destina-se a maiores de 18 anos. Não coletamos intencionalmente dados de crianças ou adolescentes. Se identificarmos uma conta de menor de idade, ela será excluída e os valores pagos serão reembolsados ao responsável (art. 14 da LGPD).

11. Acesso compartilhado e API

No plano Ultra, você pode convidar até 5 pessoas, cada uma com login próprio e papel definido por você ("Ver e lançar" ou "Somente ver"). Os convidados veem os dados da conta conforme você autorizar, e você pode revogar o acesso a qualquer momento. Os dados cadastrais de cada convidado (nome e e-mail) são tratados pelo Dinzo, e cada convidado é titular dos próprios dados.

Você também pode criar chaves de API para conectar serviços de terceiros — por exemplo, assistentes de IA como Claude ou ChatGPT — aos seus próprios dados. O compartilhamento feito por meio dessas chaves acontece por sua iniciativa e sob sua responsabilidade, e você pode revogar uma chave a qualquer momento.

12. Conexões com IAs (Claude, ChatGPT e outras)

Você pode conectar à sua conta assistentes de IA de outras empresas, como o Claude (Anthropic) e o ChatGPT (OpenAI), pelo nosso servidor MCP ou pela nossa API, autorizando o acesso com login (OAuth) ou com uma chave de API.

Quando a IA conectada usa uma ferramenta do Dinzo, os dados que essa ferramenta devolve são enviados ao provedor da IA que você escolheu. Conforme a ferramenta, isso inclui saldos; contas e cartões (com os finais dos cartões e os nomes que você associou a eles); faturas; lançamentos, inclusive as descrições que vêm do banco, as suas anotações e o link do comprovante anexado; categorias, tags e metas; recorrências, parcelamentos e assinaturas; investimentos; empréstimos; notificações e lembretes; e dados do seu perfil, como o nome e o perfil financeiro que você informou (renda, custo de vida mensal, situação familiar e se você empreende). O Dinzo só envia dados quando a IA conectada chama uma ferramenta.

Diferente do Dino (seção 4), esse provedor é escolhido por você, e o tratamento dos dados enviados a ele segue os termos de uso e a política de privacidade dele, o que pode incluir o uso para treinar modelos de IA, conforme as configurações da sua conta nesse provedor.

Com permissão de leitura e escrita, a IA conectada também pode criar, editar e apagar registros na sua conta Dinzo, como lançamentos, contas, categorias, tags e metas. Ela nunca consegue movimentar dinheiro, ver as senhas do seu banco ou conectar bancos.

Por segurança, o Dinzo registra cada chamada (ferramenta usada, conexão, endereço IP, se deu certo e identificadores dos registros afetados), mas nunca o conteúdo das mensagens nem o que foi enviado nas chamadas.

No acesso por login, o token de acesso vale 1 hora e o de renovação, 30 dias sem uso, até o máximo de 180 dias; depois disso, é preciso autorizar de novo. Você pode revogar qualquer conexão a qualquer momento em Configurações → Conexões de IA e API, no aplicativo ou na web.

13. Como protegemos os seus dados

• Campos sensíveis — nome, e-mail, telefone, números de WhatsApp vinculados, documentos, títulos de contas, categorias e metas, descrições e notas de transações e as conversas com o assistente — são criptografados com AES-256-GCM em repouso;
• Chaves e tokens de acesso à API e links de login são guardados apenas como hash;
• Os tokens de notificação push ficam nos nossos servidores e no Firebase (Google), que entrega os avisos, e deixam de valer quando você sai da conta ou quando a conta é excluída;
• Todo o tráfego usa criptografia TLS;
• A infraestrutura roda em provedores de nuvem, com proxy/CDN e armazenamento de anexos na Cloudflare;
• O acesso interno é restrito e os dados aparecem mascarados por padrão: revelar um dado exige um motivo, registrado em log imutável;
• Monitoramento contínuo do ambiente.

Ainda assim, nenhum sistema é totalmente seguro, e não podemos garantir que os dados jamais serão alvo de acessos não autorizados obtidos por métodos indevidos. Faça a sua parte: mantenha a sua senha confidencial e desconfie de mensagens pedindo pagamentos ou confirmação de dados — o Dinzo não envia e-mails com esse intuito.

14. Incidentes de segurança

Se ocorrer um incidente de segurança que possa acarretar risco ou dano relevante a você, comunicaremos a ANPD e os titulares afetados nos prazos da Resolução CD/ANPD nº 15/2024 (em regra, 3 dias úteis), informando a natureza dos dados atingidos, os riscos envolvidos e as medidas adotadas, conforme o art. 48 da LGPD.

15. Alterações desta Política

Podemos alterar esta Política a qualquer tempo. A nova versão entra em vigor 10 (dez) dias após a publicação nesta página. Toda alteração relevante será destacada em nossa página principal (dinzo.com.br) e, quando a mudança exigir novo consentimento, você será avisado pelos contatos informados no seu cadastro.

Atualizado em 29 de outubro de 2026